社員がセキュリティ事故を報告しやすい会社の作り方｜報告先を1つに決める

公開：2026年10月16日／最終更新：同／Moshiru 岡﨑 悠太

担当者のあなたにとって

報告の決まりがないと、事故のたびに担当者が「誰が、いつ知っていたか」を後から聞いて回ることになります。

社長や役員の方が読む場合は、「責めないルール」の章だけでも先に読んでください。社員が報告をためらう相手は、多くの場合、評価をつける側です。

報告が遅れるのは、言い出しにくいから

IPAが紹介する製造業の事例（従業員約1,000人）では、不審なメールの報告が来にくいことが悩みでした。開封したと言うと悪く受け取られ、報告・相談したくない気持ちが働きがちだとされています。

ほかにも「誰に言えばいいか分からない」「大したことではないかも」という迷いが、報告を遅らせます。どれも、社員の注意力ではなく、会社の決めごとで減らせます。

個人データの漏えいで国への報告が必要な場合、期限の数え始めは「会社のいずれかの部署が知った時点」です。個人情報保護委員会のガイドライン（通則編、2026年6月一部改正）にそう書かれています。

社員が気づいてから担当者に届くまでに日がたつと、そのぶん準備の時間が減ります。報告が要るかの判断は漏えいしたときの報告にまとめています。

報告先を1つに決める

「上司に」「総務に」「詳しい人に」と報告先がいくつもあると、社員は迷います。受けた人も、次に誰へ回すかで迷います。

IPAの「中小企業のためのセキュリティインシデント対応の手引き」も、最初の一歩は報告です。兆候を見つけたら、情報セキュリティ責任者に報告します。決め方は次の4つです。

1. 受ける人を1人決める：ITに少し詳しい人か、総務の人が多いです。受けて、責任者に回す役です。
2. 代わりを1人決める：受ける人が休みや移動中のときに、電話がつながる人です。

3. 電話番号を1つにする：事故のときは、メールやチャットが使えないことがあります。携帯の番号を書きます。
4. 上司は飛ばしてよいと書く：まず受ける人へ電話し、直属の上司には受けた人から伝えます。

この3人は、初動カードの連絡先の欄（担当者・不在時・責任者）と同じです。全社に配る連絡網は連絡網1枚のひな形に、社外の相談先は事故の相談先の使い分けにあります。

報告は3行でいい

報告の形が決まっていないと、社員は「きちんと説明できるまで」待ってしまいます。分かっていることを3つ言えば足りる、と先に伝えておきます。

【電話で伝える3つ】
1. いつ：〇時ごろに気づいた
2. 何が：例）メールの添付を開いた／画面がおかしい
3. 今どうしているか：例）LANを抜いた、触っていない
分からないことは「分かりません」で構いません。

電話のあとで、同じ3行をメモかチャットで残してもらうと、受けた人が責任者へ回しやすくなります。SCS評価制度★3の要求事項にも、報告の書式を整えること（6-1-1-5）が入っています。

報告してよいことの例は、上の5つです。「自分のミスかどうか分からない」ものほど、報告の対象にします。

報告した人を責めないルール

IPAの事例の会社は、「不審なメールを開封しない」だけでなく「開封したら報告する」と日頃から伝えています。報告には「報告してくれてありがとう」と返し、報告を前向きに受け止める風土を目指しています。

このルールは、担当者ではなく社長の名前で出します。社内に掲示し、入社時にも渡せる文例です。

【報告についての約束】
20XX年X月X日　代表取締役 〇〇 〇〇

・仕事のパソコン・スマホ・メールで「何かおかしい」と
　思ったら、すぐ〇〇（電話 090-XXXX-XXXX）に電話して
　ください。出ないときは〇〇（電話 090-XXXX-XXXX）へ。
・不審なメールを開いた、宛先を間違えた、機器をなくした、
　も報告してください。
・すぐに報告した人を、そのことで叱ったり、評価を
　下げたりしません。
・原因は、人ではなく、仕組みと手順で直します。
・迷ったら電話してください。報告の早さが、いちばん
　会社を助けます。

「責めない」は「何もしない」ではありません。同じことが起きないよう、設定や手順を見直します。わざと情報を持ち出した場合などは、社内の規程で別に扱います。

社長にお願いしたいのは2つです。文例に自分の名前を入れて出すこと。そして最初の報告があったら、名前を伏せたうえで、全員の前でお礼を言うことです。

電話を受けた人の最初のひと言は、次の報告のしやすさにつながります。「なんで開いたの」は、その場では聞きません。

原因は落ち着いてから、仕組みの話として聞きます。社員がその場でやることは、初動カードの5つで足ります。

初動カードの「4番」を本当にする

Moshiruの机に貼る初動カードは、見つけた人の動きを5つにしています。4番の「すぐ電話する」には「怒られることはありません」と書きました。

カードを配るだけでは、4番の一文を社員が信じきれないこともあります。報告先・3行の型・社長名の約束を決めてから配ると、カードの言葉と会社の約束がそろいます。

年1回、回っているかを確かめる

決めたことは、人の入れ替わりで止まります。経済産業省のSCS評価制度★3の要求事項（IPA公表、2026年3月27日版）にも、次の項目があります。

★3を目指していなくても、このまま年間の予定にできます。

社内に共有するときは、報告した人の名前を出しません。「早く報告があったので、ここで止められた」と、早さを中心に伝えます。

標的型メール訓練をするなら、開いた人の割合だけでなく、報告した人の割合と早さも見ます。IPAの事例の会社も、報告率を測っています。

よくある質問

この記事のまとめ

• 報告が遅れる理由は、言い出しにくさです。報告先を1つ、報告は3行、責めないルールの3つを決めます。
• 責めないルールは社長の名前で出し、電話を受けたら最初にお礼を言います。
• 入社時と年1回、カードと連絡先を確かめ、報告のあとは名前を出さずに共有します。

参考にした資料

1. IPA プラクティス・ナビ「悩み(9) インシデント対応の初動における社内での情報共有に不安がある」（2026年4月）
2. 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-5-3-3・3-5-3-4（2026年6月一部改正）
3. IPA「SCS評価制度 ★3・★4 要求事項・評価基準」（2026年3月27日版）
4. IPA「中小企業のためのセキュリティインシデント対応の手引き」（中小企業の情報セキュリティ対策ガイドライン 第4.0版 付録）